Loading article…
暗号学では、初期化ベクトル（IV）または開始変数[ 1 ]は、初期状態を提供するために使用される暗号プリミティブへの入力です。IVは通常、ランダムまたは擬似ランダムである必要がありますが、場合によっては、IVは予測不可能または一意であるだけで十分です。ランダム化は、一部の暗号化方式で意味的セキュリティを達成するために不可欠です。意味的セキュリティとは、同じ鍵で方式を繰り返し使用しても、攻撃者が暗号化されたメッセージの（潜在的に類似した）セグメント間の関係を推測できないという特性です。ブロック暗号の場合、IVの使用は動作モードによって記述されます。
暗号プリミティブの中には、IVが重複しないことだけを要求し、必要なランダム性は内部的に生成されるものがあります。この場合、IVは一般的にnonce（一度だけ使用される数値）と呼ばれ、プリミティブ（CBCなど）はランダム化ではなくステートフルであると考えられます。これは、IVを明示的に受信者に転送する必要はなく、送信側と受信側の両方で更新される共通の状態から導出できるためです。（実際には、メッセージ損失を考慮して、短いnonceがメッセージとともに送信されます。）ステートフルな暗号化方式の一例として、nonceにシーケンス番号が割り当てられたカウンタモードがあります。
IV のサイズは、使用する暗号プリミティブに依存します。ブロック暗号の場合は、一般的に暗号のブロック サイズになります。暗号化方式では、IV の予測不可能な部分は、時間/メモリ/データのトレードオフ攻撃を補償するために、キーと同じサイズになります。[ 2 ] [ 3 ] [ 4 ] [ 5 ] IV がランダムに選択される場合、誕生日問題による衝突の確率を考慮する必要があります。RC4 などの従来のストリーム暗号は、入力として明示的な IV をサポートしていないため、IV を暗号のキーまたは内部状態に組み込むためのカスタム ソリューションが必要です。実際に実現された設計の中には、安全でないことが知られているものもあります。WEPプロトコルは注目すべき例であり、関連 IV 攻撃を受けやすいです。
ブロック暗号は暗号化における最も基本的なプリミティブの1つであり、データの暗号化によく使用されます。ただし、それ自体では、ブロックサイズと呼ばれる定義済みのサイズのデータブロックをエンコードすることしかできません。たとえば、AESアルゴリズムを1回呼び出すと、128ビットの平文ブロックが128ビットの暗号文ブロックに変換されます。暗号への入力の1つとして与えられる鍵は、平文と暗号文のマッピングを定義します。任意の長さのデータを暗号化する場合、簡単な戦略は、データを暗号のブロックサイズに一致するブロックに分割し、各ブロックを同じ鍵を使用して個別に暗号化することです。この方法は、同じ平文ブロックが同じ暗号文に変換されるため安全ではなく、暗号化されたデータを傍受する第三者は、暗号化鍵を知らなくてもその内容を容易に特定できる可能性があります。
ブロック暗号の呼び出しごとに新しい鍵を再発行することなく、暗号化されたデータ内のパターンを隠すには、入力データをランダム化する方法が必要です。1980 年、NIST は、連邦情報処理標準(FIPS) PUB 81という国家標準文書を公開し、入力ブロックのセットを暗号化するための異なるソリューションをそれぞれ記述した、いわゆるブロック暗号の動作モード4 つを規定しました。最初のモードは、上述の単純な戦略を実装しており、電子コードブック(ECB) モードとして規定されています。これに対し、他の各モードでは、1 つのブロック暗号化ステップからの暗号文が次の暗号化ステップからのデータと混ざり合うプロセスを記述しています。このプロセスを開始するには、最初のブロックと混ざり合う追加の入力値が必要であり、これは初期化ベクトルと呼ばれます。たとえば、暗号ブロック連鎖(CBC) モードでは、追加の入力として、暗号のブロックサイズと同じサイズの予測不可能な値が必要です。この予測不可能な値は、後続の暗号化の前に最初の平文ブロックに追加されます。次に、最初の暗号化ステップで生成された暗号文が2番目の平文ブロックに追加され、以下同様です。暗号化方式の究極の目標は、意味的安全性を提供することです。この特性により、攻撃者が観測された暗号文から何らかの知識を得ることは事実上不可能になります。NISTによって指定された3つの追加モードはそれぞれ、いわゆる選択平文攻撃に対して意味的に安全であることが示されています。
初期化ベクトル（IV）の特性は、使用する暗号方式によって異なります。基本的な要件は一意性であり、これは同じ鍵で同じIVを再利用できないことを意味します。ブロック暗号の場合、IVの値が重複すると、暗号化方式は電子コードブック方式に陥ります。つまり、IVと平文が等しい場合、暗号文も等しくなります。ストリーム暗号では、一意性が極めて重要です。そうでなければ、平文が容易に復元されてしまう可能性があるからです。
多くの方式では、IV（初期化ベクトル）が攻撃者にとって予測不可能であることが求められます。これは、IVをランダムまたは擬似ランダムに選択することで実現されます。このような方式では、IVが重複する可能性はごくわずかですが、誕生日問題の影響を考慮する必要があります。一意性要件に関しては、予測可能なIVでは（部分的な）平文の復元が可能になる場合があります。
暗号方式における初期化ベクトル（IV）がランダムである必要があるか、あるいは一意であればよいかによって、その方式はランダム化方式またはステートフル方式と呼ばれる。ランダム化方式では、送信者が選択したIVを必ず受信者に転送する必要があるのに対し、ステートフル方式では、送信者と受信者が共通のIV状態を共有し、その状態を両側で事前に定義された方法で更新することができる。
ブロック暗号によるデータ処理は、通常、動作モードとして記述されます。モードは主に暗号化と認証のために定義されますが、最近では、両方のセキュリティソリューションを組み合わせた、いわゆる認証付き暗号化モードと呼ばれる新しい設計も存在します。暗号化モードと認証付き暗号化モードでは通常、暗号のブロックサイズに一致する初期化ベクトル（IV）が使用されますが、認証モードは一般的に決定論的アルゴリズムとして実装され、IVはゼロまたはその他の固定値に設定されます。
ストリーム暗号では、IVは暗号の鍵付き内部秘密状態にロードされ、その後、最初の出力ビットを解放する前に、いくつかの暗号ラウンドが実行されます。パフォーマンス上の理由から、ストリーム暗号の設計者はラウンド数をできるだけ少なくしようとしますが、ストリーム暗号の最小安全ラウンド数を決定することは容易ではなく、各暗号構造に固有のエントロピー損失などの他の問題も考慮すると、関連IVやその他のIV関連攻撃はストリーム暗号の既知のセキュリティ問題であり、ストリーム暗号におけるIVのロードは深刻な懸念事項であり、継続的な研究の対象となっています。
802.11 の暗号化 アルゴリズムである WEP ( Wired Equivalent Privacyの略)は、短い 24 ビットの IV を使用していたため、同じ鍵で IV が再利用され、簡単に解読されるようになりました。[ 7 ]パケットインジェクションにより、WEP はわずか数秒で解読されるようになりました。これが最終的に WEP の廃止につながりました。
暗号ブロック連鎖モード（CBCモード）では、IVは秘密である必要はありませんが、暗号化時に予測不可能でなければなりません（特に、任意の平文に対して、IVの生成前に平文に関連付けられるIVを予測できないようにする必要があります）。さらに、出力フィードバックモード（OFBモード）では、IVは一意でなければなりません。[ 8 ]特に、メッセージの最後の暗号文ブロックを次のメッセージのIVとして再利用するという（以前は）一般的な方法は安全ではありません（たとえば、この方法はSSL 2.0で使用されていました）。攻撃者が次の平文を指定する前にIV（または前の暗号文ブロック）を知っている場合、同じ鍵で以前に暗号化されたブロックの平文に関する自分の推測を検証できます。これはTLS CBC IV攻撃として知られており、BEAST攻撃とも呼ばれます。[ 9 ]